پورت VPN توسط یک بنچمارک علامت خورده است؟ دامنه کنترل را بررسی کنید

اسکنر شما پورت VPN را علامت می‌زند، تیکت آن را به‌عنوان یک شنونده عمومی بازنویسی می‌کند و بحثی که در پی می‌آید درباره این است که آیا افشا واقعی است. یافته به‌ندرت همان چیزی را می‌گوید که خواننده فرض می‌کند. یک کنترل بنچمارک با دامنه ثابت را نقل می‌کند و شماره پورت فقط یک ورودی به آن دامنه است.

پیش از دفاع از پورت، کنترل را بخوانید. یافته‌ای که مانند حکم خوانده می‌شود معمولاً محمولی است که بر یک منبع اعمال شده است.

سطر یافته در واقع چه چیزی را نقل می‌کند

هر یافته بنچمارک چهار چیز را حمل می‌کند که ارزش جدا کردن دارند: سند و بازنگری که از آن آمده، منبعی که ارزیابی شده، محمولی که نتیجه را برانگیخت و پوششی که ممیزی واقعاً به دست آورد. تیم‌ها معمولاً فقط منبع را نقل می‌کنند — یک گروه امنیتی یا یک ACL شبکه یا یک میزبان — و سپس درباره پورت بحث می‌کنند. محمول است که تعیین می‌کند آیا شنونده شما اصلاً در دامنه بود. بدون آن، شما درباره یک عدد به‌جای یک قاعده بحث می‌کنید.

مستندات Security Hub آمازون این تفکیک را بدون PDF پشت دیوار پرداخت آشکار نگه می‌دارد:صفحه کنترل‌های EC2 بررسی‌های گروه امنیتی برای دسترسی نامحدود روی پورت‌های 22 و 3389 را فهرست می‌کند و ACLهای شبکه را منبعی متفاوت با شرایط خاص خود می‌داند. همان پورت‌های مدیریتی، شیء متفاوت، آزمون متفاوت. این همان ریزدانگی است که یافته به ارث می‌برد.

aws ec2 describe-security-groups --group-ids sg-0d1f8a2c4b6e9f3a1 --output json
aws ec2 describe-network-acls --filters Name=entry.port-range.from,Values=22 --output table

شنونده عمومی را از دسترسی مدیریتی جدا کنید

یک شنونده VPN که UDP 1194 را از اینترنت می‌پذیرد و یک سرویس SSH که فقط پس از پذیرش در دسترس است، مسیرهای افشای متفاوتی هستند. بررسی‌ای که اولی را پوشش می‌دهد ممکن است درباره دومی چیزی نگوید و بررسیِ دومی ممکن است اولی را نادیده بگیرد. نتیجه قبولی در یکی بیانیه‌ای درباره دیگری نیست، هرچند هر دو در جلسه وضعیت بسیار شبیه به نظر برسند.

هر مسیر را در بازبینی سطری جداگانه بدانید.

سپس بررسی کنید خود دروازه چه چیزی را مجاز می‌کند. پذیرفتن یک تونل با اعطای حقوق مدیریتی روی دروازه یکی نیست و هیچ‌کدام برابر با رسیدن به سروری در پشت آن نیست. پرسش را به این تقسیم کنید که چه کسی می‌تواند متصل شود، چه کسی می‌تواند مدیریت کند و تونل به چه چیزی می‌تواند برسد. آن سه پاسخ از سامانه‌های مختلف می‌آیند و به‌طور روتین در یک جمله ادغام می‌شوند که هیچ‌کس نمی‌تواند بر اساس آن اقدامی کند.

منبع است که تعیین می‌کند آیا پورت اصلاً در دامنه هست

یک قاعده گروه امنیتی، یک ورودی ACL زیرشبکه و یک قاعده فایروال میزبان همه می‌توانند ترافیک را مجاز کنند، اما تنها یکی از آن‌ها ممکن است شیئی باشد که کنترل ارزیابی می‌کند. مجوز مؤثر یعنی ترکیب گروه‌های موازی، هر دو خانواده نشانی و هر قاعده رد که پیش از آن‌ها قرار دارد. پورتی که در بررسی سطح گروه شکست می‌خورد می‌تواند هنوز دسترس‌ناپذیر باشد و پورتی که آن را می‌گذراند می‌تواند در عمق بیشتر مسدود باشد.

اینجاست که پیوند زدن قواعد محیطی دیگر به خطا می‌رود. ACLهای شبکه بی‌حالت‌اند و به ترتیب ارزیابی می‌شوند؛ گروه‌های امنیتی حالت‌دارند و فقط مجاز می‌کنند. مدل قاعده‌ای که از یکی گرفته شده دیگری را توصیف نمی‌کند و ترجمه آن پاسخ مطمئنی درباره شیء اشتباه می‌دهد.

تصمیم را ثبت کنید تا ممیزی بعدی از آن استفاده کند

وقتی دامنه واقعاً مبهم است، بازنگری کنترل، شناسه منبع، محمول به همان صورت نقل‌شده و شاهدی که آن را حل کرد را بنویسید. آنچه را کنار گذاشتید و چرا بنویسید. همان سابقه است که به بازبین دوم امکان می‌دهد بدون بازخوانی کل بنچمارک به همان نتیجه برسد و تنها چیزی است که از تغییر کارکنان جان سالم به در می‌برد.

یادداشتی با مضمون «پورت VPN بررسی شد» تضمین می‌کند بحث فصل بعد بازگردد. در عوض ارزیاب، بازنگری و شاهد را نام ببرید.